PHP2Shell Eksploitasi Celah Kritis PHP, Banyak Negara Beri Peringatan: Alternatif WordPress Gratis untuk Website Perusahaan

Pada 21 Oktober 2026, PHP merilis pembaruan keamanan darurat untuk menambal dua celah serius, CVE-2026-109618 dan CVE-2026-109619. Penyerang tidak perlu login: cukup satu request untuk menjalankan kode apa pun di server.

Wiz Research, yang menemukan celah ini, merangkai keduanya menjadi skrip eksploit bernama PHP2Shell dan mendemonstrasikan eksekusi kode jarak jauh tanpa login pada WordPress, Drupal, dan Joomla versi terbaru (Wiz).

WordPress berjalan di atas PHP. Kali ini celahnya ada di PHP itu sendiri, jadi memperbarui WordPress dan plugin ke versi terbaru tidak akan menolong. Semua website perusahaan berbasis WordPress harus segera ditangani.

Celah kritis PHP CVE-2026-109618 dan CVE-2026-109619 serta alat eksploit PHP2Shell, CVSS 9.2

Ringkasan celah PHP CVE-2026-109618 dan CVE-2026-109619

Berdasarkan pengumuman keamanan resmi PHP:

Item	Keterangan
Nomor	CVE-2026-109618, CVE-2026-109619
Nama resmi	RCE via OOM corruption, RCE via stale global state
Skor	CVSS 4.0, 9.2
Dampak	Eksekusi kode jarak jauh (RCE) tanpa login
Cakupan	Semua PHP yang melayani request web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed
Risiko tertinggi	Apache mod_php, serangan terjadi sebelum kode website dijalankan
Versi perbaikan	PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35
Tanpa perbaikan resmi	PHP 8.1 dan versi lebih lama

CVE-2026-109618: saat PHP kehabisan memori (OOM), proses bisa terhenti ketika data request baru diinisialisasi setengah jalan; lalu saat membersihkan request, data yang tidak valid itu dipakai seolah-olah valid.
CVE-2026-109619: setelah request selesai dan memori dibebaskan, sebagian state internal masih tersisa, sehingga worker yang sama bisa memakai state usang itu saat menangani request berikutnya.

Banyak negara keluarkan peringatan, website ditutup darurat

Semua waktu di bawah ini adalah tanggal 21 Oktober 2026.

CERT-EU Uni Eropa (NL Times), NCSC Inggris (Patchstack), NCSC Belanda (Sansec), serta Kantor Siber Nasional Jepang dan IPA (Impress Watch) berturut-turut mengeluarkan peringatan agar patch segera dipasang. Uni Eropa, Inggris, dan Jepang juga menyarankan agar website yang belum sempat ditambal dimatikan dulu.

Serangan sudah dimulai

Catatan langsung dari Patchstack, perusahaan keamanan WordPress:

UTC 07:34: sejumlah penyedia hosting melaporkan website diserang.
UTC 07:43: CTO Cloudflare menyatakan sudah melihat serangan awal dan memasang aturan firewall.
UTC 13:52: PHP merilis versi perbaikan.
UTC 13:57: Patchstack masih hanya melihat serangan uji coba, dan memperkirakan jumlahnya naik setelah detail perbaikan dipublikasikan.

Alat eksploit PHP2Shell dari Wiz Research menyerang WordPress, otomatis mengenali target dan menjalankan perintah

Pusat Keamanan Siber Nasional Belanda (NCSC) saat itu menyatakan belum mengonfirmasi serangan nyata. Sebagai pembanding: setelah celah PHP CVE-2024-4577 diumumkan pada Juni 2024, Akamai sudah melihat percobaan serangan dalam 24 jam (The Hacker News).

Website pemerintah Belanda dan Finlandia dimatikan

Website DPR Belanda (Tweede Kamer) dimatikan sementara. Website klub sepak bola Fortuna Sittard, serikat polisi ACP, Asosiasi Apoteker Kerajaan Belanda KNMP, perusahaan transportasi umum EBS, serta sebagian jaringan IT yang dipakai bersama oleh kampus dan lembaga riset Belanda juga dihentikan (NL Times).
Website NCSC Belanda sendiri, situs teknologi Tweakers, dan situs berita keamanan Security.NL offline (Sansec).
Sistem identitas digital pemerintah Belanda DigiD dan portal layanan publik MijnOverheid menghentikan layanan (Patchstack).
Valtori, pusat IT pemerintah Finlandia, mematikan website publik sejumlah lembaga negara, termasuk Badan Survei Nasional Finlandia dan Pusat Pameran dan Konvensi Helsinki (Pasquale Pillitteri).

Jepang: PM Takaichi mengimbau tengah malam, pixiv, DMM, dan lainnya maintenance darurat

Pukul 21:55 waktu Jepang, Perdana Menteri Sanae Takaichi mengunggah di X (dikutip Impress Watch):

皆様に、今夜に対応して頂きたい大至急のお願いです。（中略）公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

Artinya: malam ini, periksa apakah website Anda memakai PHP, dan segera pasang patch setelah dirilis pukul 23.00 waktu Jepang; jika tidak sempat, website bisa dihentikan sementara.

Kantor Siber Nasional Jepang dan IPA juga mengeluarkan peringatan, dan sebagian pemerintah daerah mengumumkan penghentian sistem sementara. Layanan yang disebut dalam laporan yang sama:

Platform toko online BASE dan layanan untuk tempat penitipan anak CoDMON maintenance sejak siang;
pixiv, DMM.com, niconico, dan Sakura Internet melakukan maintenance darurat pada sebagian layanannya, dan setelah pukul 20.00 banyak layanan dihentikan;
Game seperti Granblue Fantasy dan Umamusume: Pretty Derby menghentikan layanan.

Mode maintenance WordPress tidak bisa menahan

Sansec menjelaskan: mode maintenance bawaan WordPress dan Magento tidak berguna, karena PHP sudah memproses request sebelum aplikasi memeriksa tombol maintenance. Cara yang efektif adalah menghentikan PHP-FPM dan membiarkan web server langsung mengembalikan halaman maintenance statis.

Jadi malam itu website WordPress hanya punya dua pilihan: ada orang yang login ke server untuk upgrade PHP, atau seluruh website dimatikan. Website yang tidak ada pengelolanya hanya bisa tetap menyala dan menunggu.

Kenapa website perusahaan WordPress paling berisiko

Celah di level PHP tidak bisa ditangani plugin WordPress. Di mod_php, serangan terjadi sebelum kode website berjalan, jadi plugin keamanan, captcha, dan menyembunyikan halaman admin tidak ada gunanya. Sansec juga menyebut satu-satunya cara adalah upgrade PHP di server; yang tidak mengelola server sendiri hanya bisa mendesak penyedia hosting.

Banyak server masih memakai PHP yang sudah tidak didukung. Perusahaan keamanan Mallory pada 20 Oktober menghitung lewat Shodan sekitar 884 ribu host publik yang header respons-nya menunjukkan PHP 8.1 atau lebih lama, 59% dari host yang mencantumkan versi (sekitar 1,5 juta). Ini hitungan berdasarkan header, bukan berarti semuanya terdampak (The Hacker News). Versi-versi ini tidak punya patch resmi; pilihannya meminta patch porting ke penyedia hosting atau upgrade PHP, padahal tema dan plugin lama sering rusak begitu di-upgrade.

Keluar uang setiap tahun. Perpanjangan hosting, biaya maintenance, langganan tahunan plugin berbayar, dan kalau kena serangan masih ada biaya pembersihan. Website yang isinya hanya profil perusahaan, layanan, portofolio, berita, dan lowongan kerja harus terus menjalankan PHP + MySQL, dan masih perlu orang yang berjaga di server pada malam seperti 21 Oktober.

Solusi saya: Astro + Cloudflare / GitHub / Vercel / Netlify

Sejak dua tahun lalu saya berhenti merekomendasikan WordPress dan PHP ke klien, dan semua website klien sudah saya pindahkan ke kombinasi Astro dengan Cloudflare, GitHub, Vercel, dan Netlify. Paket gratis platform-platform ini sudah lebih dari cukup untuk website perusahaan: hosting tidak keluar uang sepeser pun, dan hasilnya lebih cepat, lebih aman, dan lebih tanpa ribet dibanding website WordPress sebelumnya.

Pada celah PHP kali ini, website klien-klien tersebut tidak perlu ditangani sama sekali dan tetap bisa diakses seperti biasa malam itu. Blog saya zhaojian.net juga dibangun dengan cara ini, sekaligus tersedia dalam 12 bahasa.

Caranya sederhana:

Astro membuat semua halaman saat build; yang dipublikasikan hanya HTML, CSS, JS, dan gambar;
source code disimpan di GitHub; ubah teks atau tambah berita, lalu commit;
Cloudflare Pages / Vercel / Netlify otomatis build dan publish begitu menerima commit, online dalam beberapa menit, dan halaman dikirim dari CDN global.

Lebih aman: di server tidak ada PHP, database, maupun halaman login admin, sehingga alat eksploit seperti PHP2Shell tidak punya celah untuk masuk. Kalau nanti PHP, WordPress, atau plugin kena celah lagi, website Anda tidak terpengaruh.

Lebih cepat: halaman berupa file jadi yang langsung dikirim dari node CDN terdekat dengan pengunjung, cepat diakses dari Jepang, Tiongkok, Eropa, maupun Amerika.

Gratis dan tanpa perawatan: tidak perlu perpanjang hosting dan server, tinggal bayar domain. Tidak ada server untuk login, tidak ada program untuk di-upgrade.

Perbandingan WordPress dan website statis Astro

	Website WordPress	Website statis Astro
Program yang berjalan	PHP + MySQL + tema + plugin	Tidak ada, hanya file statis
Celah PHP kali ini	Terdampak, harus upgrade semalaman atau tutup website	Tidak terdampak
Biaya hosting	Perpanjang hosting / server tiap tahun	Gratis
Perawatan rutin	Upgrade WordPress, plugin, dan PHP secara berkala	Tidak perlu
Kecepatan akses	Tergantung performa server dan konfigurasi cache	Langsung dari CDN
Update konten	Login ke dashboard lalu edit	Commit, lalu build dan publish otomatis
Multibahasa	Bergantung plugin multibahasa	Halaman tiap bahasa dibuat saat build

Fitur yang membaca dan menulis data secara real-time, seperti toko online, login member, dan sistem reservasi, perlu direncanakan terpisah. Fitur umum website perusahaan seperti formulir kontak, berita, portofolio, lowongan kerja, dan multibahasa bisa dibuat dengan website statis plus layanan formulir pihak ketiga.

Langkah migrasi WordPress ke Astro

Data halaman: catat semua halaman, artikel, gambar, dan formulir.
Ekspor konten: ekspor artikel dan halaman ke Markdown, sekaligus unduh semua gambar.
Pertahankan URL: sebisa mungkin pakai URL lama; yang berubah diberi redirect 301 agar peringkat pencarian tidak turun.
Buat ulang desain: tiru desain lama apa adanya atau ganti desain baru, sekaligus responsif di ponsel.
Ganti fitur: formulir diganti layanan formulir pihak ketiga, statistik diganti solusi yang tidak butuh server.
Pindahkan domain: setelah semuanya dicek, arahkan domain ke platform baru, dan server lama tidak diperpanjang saat habis masa berlakunya.

Pertanyaan umum

Apakah website WordPress bisa diserang PHP2Shell?

Bisa. Celahnya ada di PHP itu sendiri. Selama PHP di server bukan versi 8.5.12, 8.4.27, 8.3.36, 8.2.35, atau versi yang sudah ditambal penyedia hosting, website tetap terdampak, apa pun versi WordPress-nya.

Apakah mengaktifkan mode maintenance WordPress bisa mencegahnya?

Tidak. PHP sudah memproses request sebelum mode maintenance berlaku. Pilihannya upgrade PHP, atau hentikan PHP-FPM dan pakai halaman maintenance statis.

Bagaimana dengan PHP 8.1 atau versi lebih lama?

PHP sudah tidak merilis pembaruan untuk versi tersebut. Anda bisa meminta patch porting ke penyedia hosting, atau upgrade ke PHP 8.2 ke atas; jika tema dan plugin tidak kompatibel, pertimbangkan langsung pindah ke website statis.

Apakah website statis benar-benar gratis?

Paket gratis Cloudflare Pages, Vercel, Netlify, dan GitHub Pages sudah cukup untuk website perusahaan; Anda hanya perlu membayar domain.

Ingin mengganti website perusahaan WordPress? Hubungi saya

Cocok menghubungi saya jika:

website perusahaan Anda memakai WordPress, dan pada malam 21 Oktober Anda bingung apakah harus menutup website atau harus minta tolong siapa untuk pasang patch;
server Anda masih memakai PHP 8.1 atau versi lebih lama;
setiap tahun harus perpanjang hosting dan server, plus bayar biaya maintenance;
pembuat website dulu sudah tidak bisa dihubungi dan website tidak ada yang mengurus;
bisnis Anda menyasar pasar Jepang atau luar negeri dan butuh website multibahasa seperti bahasa Jepang dan Inggris.

Saya bisa memindahkan website perusahaan WordPress Anda ke website statis Astro: lebih cepat, lebih aman, tidak perlu perpanjang hosting dan server tiap tahun, otomatis build dan publish setelah commit, dan tidak perlu lagi mencari orang untuk perawatan.

Hubungi saya lewat WeChat (757118) yang tercantum di halaman Tentang, atau lewat X (@zhaoJianNet). Kirimkan alamat website dan kebutuhan Anda, dan saya akan memberikan rencana migrasi yang konkret.